CVE-2026-103229 Restaurant-Management-System SQL 注入漏洞
影响攻击者可远程注入 SQL 语句，窃取或篡改数据库数据
AdithyaYelloju Restaurant-Management-System 的 admin/delete1.php 文件中，mysqli_query 函数对 ID 参数处理不当，存在 SQL 注入漏洞。该漏洞可被远程利用，且利用代码已公开。项目采用滚动发布模式，暂无具体受影响版本信息。
影响范围
受影响版本为截至提交 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c 的代码；由于采用滚动发布，官方未提供具体版本号范围。
漏洞详情
漏洞类型为 SQL 注入。成因是 admin/delete1.php 中未对用户可控的 ID 参数进行过滤或参数化处理，直接拼接到 mysqli_query 执行的 SQL 语句中。攻击者可通过构造恶意 ID 值远程发起注入，读取、修改或删除数据库内容。
利用条件与风险
利用无需认证，攻击者可远程直接触发，且公开 PoC 已存在，实战风险较高。
修复建议
官方尚未发布修复版本，建议关注项目更新；临时措施包括对 ID 参数进行严格校验、使用参数化查询，或限制 admin/delete1.php 的访问权限。
A vulnerability was found in AdithyaYelloju Restaurant-Management-System up to 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. This issue affects the function mysqli_query of the file admin/delete1.php of the component Unauthenticated Action Script. Performing a manipulation of the argument ID results in sql injection. The attack can be initiated remotely. The exploit has been made public and could be used. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.